Başlangıç Tehditler Trojan-Downloader Trojan-Downloader.Win32.VB
Bulunma tarihi 04/13/2010
Trojan, gizli dosyaların aşağıdaki sistem kayıt defteri anahtarı parametrelerini değiştirerek Explorer.exe tarafından gösterilememesini sağlar:
"Gizli" = "0"
Truva ayrıca, aşağıdaki sistem kayıt defteri anahtarı parametrelerini ayarlayarak dosya uzantılarının Explorer.exe tarafından görüntülenememesini de sağlar:
Bu parametrelerin geri alınmasını önlemek için Trojan, aşağıdaki sistem kayıt defteri anahtarı parametresini ayarlayarak Explorer.exe'deki "Klasör Seçenekleri" ni devre dışı bırakır:
Trojan, Windows sistem dizininde "psador18.dll" adlı gizli bir klasör oluşturur:
Dosya aşağıdaki e-posta adreslerini içerir:
Trojan ayrıca kendi vücudundan "psagor18.sys" adlı bir rootkit çıkarır. Bu dosya Trojan'ın çalışma dizinine yerleştirilecek. Bu rootkit, "psador18.dll" ve "AHTOMSYS19.exe" dosyalarının varlığını gizleyecek işlevleri içerir. Ayrıca Truva atlarına en yüksek sistem ayrıcalıklarını da veriyor, bu da Truva atı dosyasını silmeyi veya Truva atı işlemlerini sonlandırmayı imkansız kılıyor.
Sistem kapatıldığında, bu dosya silinecek, ancak sistem yeniden başlatıldığında yeniden oluşturulacaktır.
Truva atı, aşağıdaki başlıklarla pencerelerin görünümünü izler:
NOD32 2.5 Denetim Merkezi
Сканер NOD32 по требованию – [Профиль центра управления – Локально] Сканер NOD32 по требованию – [Профиль контекстного меню] NOD32 – Предупреждение Пpeдупpeждeниe Editörleri конфиг урации NOD32 – [Başlıksız] Антивирус Касперского Kişisel 0- выполняется проверка … Карантин Настройка обновления Настройка карантина и резервного хранилища AVP.MessageDialog AVP.MainWindow AVP.Product_Notification AVP.SettingsWindow AVP.ReportWindow Agnitum Outpost Güvenlik Duvarı – configure.cfg Nasıl yükleyebilirim? RegDdit_RegEdit
Trojan bu pencereleri tespit ederse, otomatik olarak kapanacaktır.
Trojan ayrıca flaş cihazları arar. Eğer böyle bir cihaz tespit ederse, Trojan vücudunu "CDburn.exe" olarak kopyalayacak ve Truva'nın vücuduna bir bağlantı içeren "autorun.inf" adlı bir dosya oluşturacaktır. Bu, cihaz her bağlandığında Trojan dosyasının otomatik olarak başlatılmasını sağlar.
Trojan ayrıca, mağdur makineden e-posta adresleri toplar ve onlara bir e-posta mesajı gönderir. E-postada boş bir konu satırı ve aşağıdaki içerik var: